개인 식별 정보(PII)

PII는 어떤 정보를 포함하나요?

NIST SP 800-122는 이름·사회보장번호·생체정보처럼 신원을 구별하거나 추적하는 정보와 의료·교육·재무·고용정보처럼 개인에게 연결되거나 연결 가능한 정보를 함께 다룹니다. NIST SP 800-122 조직은 값 하나만 볼 때의 식별 가능성과 여러 저장소를 연결했을 때의 식별 가능성을 나누고 실제 접근자가 이용할 수 있는 보조정보까지 포함해 위험을 평가하고 평가 당시 이용할 수 있었던 시스템과 권한·결합 절차를 증거로 남겨야 합니다.

이메일 주소, 계정 ID, 위치 기록은 사용 환경과 결합 가능성에 따라 식별 위험이 달라집니다. "직접 식별자만 PII"라는 좁은 목록으로 끝내지 않습니다.

한국의 개인정보와 같은 말인가요?

개인정보 보호법 제2조는 살아 있는 개인을 알아볼 수 있는 정보, 다른 정보와 쉽게 결합해 알아볼 수 있는 정보, 가명정보를 개인정보 정의에 포함합니다. 개인정보 보호법 제2조 문서에 PII라고 표기했더라도 한국 서비스에서는 법정 용어와 적용 범위를 다시 판단해야 합니다. 따라서 번역된 제품 문구만으로 적용 범위를 정하지 않습니다.

결합 가능성은 어떻게 판단하나요?

자료 A에 사번을 지운 부서·직급·입사월이 있고 자료 B에 전 직원 명단이 있다고 가정합니다. 한 부서에 해당 직급·입사월 조합이 한 명뿐이고 B에 접근할 수 있다면 A만 보고 이름이 없다고 안전하다고 결론 내리기 어렵습니다. 접근 권한, 결합 비용, 필요한 시간, 외부 데이터 입수 가능성을 기록합니다. 판단 근거를 문서에 남깁니다.

PII 목록은 어떻게 만드나요?

필드 이름만 나열하지 말고 값의 예, 생성 원천, 연결 키, 접근자, 사용 목적, 보유기간을 적습니다. 해시값·쿠키 ID·기기 ID는 원문자열이 아니어도 다른 테이블과 연결될 수 있으므로 식별 가능성과 침해 시 영향을 함께 평가합니다. 분류 기준은 관할별로 다시 확인합니다.

보호 수준은 어떻게 정하나요?

NIST 지침도 PII의 양, 식별 용이성, 민감도, 사용 맥락을 고려하도록 안내합니다. 공개 가능한 업무 연락처와 비공개 의료 기록은 같은 방식으로 다루지 않으며, 보안 등급은 법률상 처리 근거·정보주체 권리·조직 위험평가를 대신하지 않습니다.

자주 묻는 질문

이름과 주민번호만 PII인가요?

아닙니다. 개인을 구별·추적하거나 다른 정보와 연결할 수 있는 이메일, 위치, 생체·재무 정보 등도 포함될 수 있습니다.

해시한 이메일은 PII가 아닌가요?

해시 방식, 원본 후보 범위, 다른 테이블과의 연결 가능성에 따라 식별 정보로 취급해야 할 수 있습니다. 해시만으로 익명화가 끝났다고 보지 않습니다.

PII 표시가 없으면 개인정보 검토를 생략해도 되나요?

안 됩니다. 제품 문서의 PII 제한과 각 관할의 개인정보 정의는 다를 수 있으므로 실제 필드와 결합 가능성을 기준으로 확인해야 합니다.

출처와 확인 범위

1. NIST SP 800-122: Guide to Protecting the Confidentiality of PII · NIST · 확인 2026-10-27

   PII를 단독 또는 결합해 개인을 구별·추적할 수 있는 정보까지 넓게 설명합니다.

   확인 범위: 미국 연방기관 지침 용어이며 한국 개인정보 보호법의 정의와 동일하지 않습니다.

2. 개인정보 보호법 제2조 · 법제처 국가법령정보센터 · 확인 2026-10-27

   한국 법률의 개인정보·가명정보 정의를 뒷받침합니다.

   확인 범위: PII라는 약어를 법정 용어로 정의하는 조문은 아닙니다.

함께 이해할 용어